[发明专利]一种基于写时复制的BTRFS文件系统数据的解析及提取方法

权利要求书

1.一种基于写时复制的BTRFS文件系统数据的解析及提取方法，其特征在于包括以下步骤：

S100：加载磁盘并判断磁盘的数据是否为BTRFS文件系统的数据，如果是，执行步骤S200，否则执行步骤S100；其中，判断的方法为：寻址并获取物理地址0x10000处的主超级块，判断主超级块中magic值是否为BTRFS文件系统数据的标识；

S200：解析磁盘中BTRFS文件系统的主超级块；

S300：解析并获取磁盘的逻辑地址与物理地址的映射关系；

S400：判断当前数据是否为删除数据，如果是，执行步骤S600，否则，当前数据为正常数据，执行步骤S500；

S500：解析磁盘的最新写时复制ID所对应的各个B-Tree节点块内容，获取磁盘的正常数据的信息，执行步骤S700；

S600：解析磁盘中历史写时复制ID值所对应的各个B-Tree节点块内容，恢复并提取磁盘的删除数据的信息；

S700：根据所获取的正常数据的信息或所恢复并提取的删除数据的信息，确定正常数据或所恢复并提取的删除数据在磁盘中的目录结构及数据的内容。

2.根据权利要求1所述的一种基于写时复制的BTRFS文件系统数据的解析及提取方法，其特征在于，所述步骤S100包括以下步骤：

S101：加载磁盘并获取磁盘起始地址向后偏移0x10000字节的扇区数据，扇区数据的字节长度为0x1000，所获取的扇区数据为主超级块；

S102：判断主超级块中magic值是否为BTRFS文件系统数据的标识，包括以下步骤：

S1021：获取如表1所示的BTRFS文件系统主超级块的扇区数据结构：

表1：BTRFS文件系统主超级块的扇区数据结构

S1022：主超级块的起始地址向后偏移0x40字节，获取连续8字节的内容为magic值，判断magic值是否为ASCII码表示的字符“_BHRfS_M”，如果是，执行步骤S1023，否则，退出流程；

S1023：主超级块的起始地址向后偏移0x30字节，获取连续8字节的内容中的低字节序的内容，作为主超级块的逻辑地址，并判断是否与主超级块在磁盘中物理地址0x10000相等，如果是，执行步骤S1024，否则，退出流程；

S1024：主超级块的起始地址向后偏移0x32B字节，获取连续n字节的内容为组块条目阵列，用以描述逻辑地址到物理地址的映射方式，其中，n的值等于主超级块的起始地址向后偏移0xA0字节并获取连续4字节的低字节序的内容，执行步骤S200。

3.根据权利要求1所述的一种基于写时复制的BTRFS文件系统数据的解析及提取方法，其特征在于，所述步骤S200包括以下步骤：

根据主超级块所包含的磁盘数据描述信息，解析如表1所示的BTRFS文件系统主超级块的扇区数据结构，包括最新写时复制ID值、根树、数据块树、磁盘字节数使用情况、磁盘名称、逻辑地址和物理地址的映射关系、历史写时复制ID值对应的各个B-Tree节点块逻辑地址，其中，

当前最新的写时复制ID值：储存于主超级块的起始地址向后偏移0x48的连续8字节的低字节序的内容；

根树逻辑地址：储存于主超级块的起始地址向后偏移0x60的连续8字节低字节序的内容；

数据块根树逻辑地址：储存于主超级块的起始地址向后偏移0x68的连续8字节低字节序的内容；

逻辑地址和物理地址的映射关系：储存于主超级块的起始地址向后偏移0x32B的n字节中n的值等于主超级块的起始地址向后偏移0xA0字节并获取连续4字节低字节序的内容；

历史写时复制ID值对应的各个B-Tree节点块逻辑地址：储存于主超级块的起始地址向后偏移0xB2B的连续0x4d5字节的内容。